Что такое win r00tkits и что с ними делать
Xakep, номер #049, стр. 049-064-3
# ifconfig eth0 10.10.10.1
# telnet 10.0.0.166
Connected to 10.0.0.166.
Escape character is '^]'.
_
доступные команды:
ps # показать список процессов
8 System
136 SMSS.EXE
164 CSRSS.EXE
184 WINLOGON.EXE
212 SERVICES.EXE
232 LSASS.EXE
hidedir # спрятать файл/каталог (on/off)
hideproc # спрятать процесс (on/off)
debugint # резко перезагрузить машину (удаленную, естественно :))
sniffkeys # keylogger (в данной версии отсутствует)
Доступа к командной строке пока нет (данную функцию планируется добавить в версии 0.44). Как ты уже понял, теперь все папки/файлы/процессы и ключи реестра, которые начинаются с _root_, будут скрыты, например:
C:\>mkdir _root_YourDir
C:\>cd _root_YourDir
C:\>copy c:\winnt\system32\cmd.exe _root_cmd.exe
Можешь запускать _root_cmd.exe и ни в каких списках процессов он светиться не будет (также не будет виден каталог _root_YourDir). Вот, в принципе, и все. Если вдруг тебе понадобится запустить/остановить руткит, то набирай net start
_root_ и net stop _root_ соответственно.
Gina Trojan
FakeGINA - это сборщик паролей для Nt/2k. "Что тут особенного?" - скажешь ты. "Есть ведь всякие keylogger'ы и прочее". А то, что программу можно установить удаленно (regini&ftp), и антивирусы, естественно, ее не засекают (так как, по сути, это не вирус/троян, а поддельная библиотека). Прога осуществляет перехват обращений WinLogon к msgina.dll (то есть часть процедуры обычного входа в систему), захватывая при этом имя пользователя и пароль. Для ее использования тебе надо скопировать fakegina.dll в папку c:\winnt\sysyem32\, потом отправляйся в реестр [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] и замени значение GinaDLL с msgina.dll на fakegina.dll (если ты не сможешь найти этот параметр, то просто создай его). Теперь после перезагрузки и повторного входа в систему можно будет посмотреть награбленные пароли:
C:\>more c:\winnt\system32\passlist.txt
TEST\Administrator 1!ImGod!1
TEST\stalsen qwerTTY
Как ты уже понял, TEST - имя компьютера, Administrator и stalsen - имена пользователей, а 1!ImGod!1 и qwerTTY - пароли. Вообще, имя библиотеки можно переименовать, например, в ginams.dll.
Hacker Defender (by Holy_Father)
На мой взгляд, это самый лучший из всех доступных руткитов для Windows NT/2k/XP. Большая часть кода написана на Дельфи 6 (и ассемблере). Основная идея состоит в следующем: использовать некоторые API функции (WriteProcessMemory и CreateRemoteThread), чтобы создать новую "нить" но всех запущенных процессах системы, которая будет пытаться переписать некоторые функции kernel32.dll (вроде Kernel32.ReadFile, Kernel32.CreateProcessW, etc) и вставлять поддельный (то есть нужный) код, назначение которого - проверять результаты выполнения некоторых API и модифицировать их "по своему усмотрению". Это позволяет программе прятать файлы, процессы, сервисы и ключи реестра. Более подробное описание работы читай в файле readme на английском и чешском языках. Ну что ж, перейдем к использованию. У руткита есть конфиг-файл hxdef051.ini. Существует 6 частей настройки, а конкретно это [Hidden Table] - список файлов и папок которые должны быть спрятаны. Например, в корне диска ты создал директорию mystuff со всякими прогами типа fscan, dsniff, fgrind, и тебе не хочется их показывать, тогда пиши в конфиг: